Bekijk Volledige Versie : Niet alle mail wordt ontvangen...
FunnyMedia
14/01/15, 17:36
Ik zit met een nogal raar probleem.
Niet alle mail wordt door mijn server ontvangen, waar onder dus ook de mail van webhostingtalk.nl niet.
In de logfiles zie ik niet dat er een verbinding gemaakt wordt, dus vraag mij af waar ik mijn probleem moet gaan zoeken.
De reverse DNS staat naar mijn hostname
77.243.225.87 resolves to "srv1.funnymedia.nl" Top Level Domain: "funnymedia.nl" Country IP Address: NETHERLANDS
De test op http://mxtoolbox.com geeft ook geen grote problemen:
SMTP Transaction Time 5.210 seconds - Warning on Transaction Time More Info
SMTP Banner Check OK - 77.243.225.87 resolves to srv1.funnymedia.nl
SMTP Reverse DNS Mismatch OK - Reverse DNS matches SMTP Banner
SMTP TLS OK - Supports TLS.
SMTP Connection Time 2.886 seconds - Good on Connection time
SMTP Open Relay OK - Not an open relay.
Session Transcript:
Connecting to 77.243.225.87
220 srv1.funnymedia.nl ESMTP Exim 4.84 Wed, 14 Jan 2015 17:33:43 +0100 [2699 ms]
EHLO MXTB-PWS3.mxtoolbox.com
250-srv1.funnymedia.nl Hello mxtb-pws3.mxtoolbox.com [64.20.227.133]
250-SIZE 20971520
250-8BITMIME
250-PIPELINING
250-AUTH PLAIN LOGIN
250-STARTTLS
250 HELP [733 ms]
MAIL FROM: <supertool@mxtoolbox.com>
250 OK [733 ms]
RCPT TO: <test@example.com>
550 authentication required [749 ms]
MXTB-PWS3v2 6224ms
Dus iemand een idee waar ik moet gaan zoeken?
Mail van o.a webhostingtalk komt niet aan op mijn server en das best lastig zeker omdat je het dus niet weet...
Kan je eens een mailbox aanmaken (bvb whtspam@funnymedia.nl) waarom we wat mails kunnen afvuren?
http://www.intodns.com/funnymedia.nl
DNS probleem dus...
PS : ik zie 2 opeenvolgende ip's. Staan deze op een aparte server/netwerk/datacenter? Zo niet : vraag hier even in het aanbiedingenforum of men je hier mee kan helpen. Er zijn partijen die hiervoor oplossingen bieden.
FunnyMedia
14/01/15, 18:45
Hoi IT-Works, ik heb de mailbox aangemaakt dus voor maar raak.
Ik heb de nameservers idd op 1 server staan (dus beide IP adressen staan op 1 server)
Ik weet dat het niet geweldig is echter het is een non commercial server dus echt nodig om het te splitsen vindt ik het nog niet.
Wie weet voor de toekomst.
De andere dns fouten kan ik helaas niet snel herleiden, waar kan ik bijvoorbeeld het soa record instellen?
Vreemd alleen dat de ene test zeg dat het OK is mxtoolbox.com
Tips zij erg welkom
Yourwebhoster
14/01/15, 19:09
Gokje dat het om funnymedia.nl gaat. De DNS servers resolven hier nog niet naar je IP adres. Als ik bij de whois kijk dan heb je vandaag pas een change gedaan, mogelijk heeft dat er mee te maken. Als je een aanpassing maakt aan een domeinnaam dan kan het even duren voordat het er overal door heen gekomen is.
Dit zal ook verklaren waarom de ene mail wel en de andere mail niet aan komt. Mocht het over - pak n beet 24 uur na de wijziging - nog niet goed werken dan kan je verder kijken wat er aan de hand is.
Hoi IT-Works, ik heb de mailbox aangemaakt dus voor maar raak.
Ik heb de nameservers idd op 1 server staan (dus beide IP adressen staan op 1 server)
Ik weet dat het niet geweldig is echter het is een non commercial server dus echt nodig om het te splitsen vindt ik het nog niet.
Wie weet voor de toekomst.
De andere dns fouten kan ik helaas niet snel herleiden, waar kan ik bijvoorbeeld het soa record instellen?
Vreemd alleen dat de ene test zeg dat het OK is mxtoolbox.com
Tips zij erg welkom
Hoe heb je de zonefile gemaakt ?
Als dat gewoon een tekstfile is, post die eens, dan wijzen we wel aan wat er bij moet.
FunnyMedia
14/01/15, 19:26
Ik ben ondertussen iets verder...
Als ik CSF uitzet komt de test op http://www.intodns.com/funnymedia.nl wel OK
Nu ik CSF weer aan zet mis ik het een en ander...
Ik vermoed dat ik een poortje mis...
Yourwebhoster, wat ik vandaag heb aangepast is de ipv6 vermelding verwijderd.
IPv6 heeft in het verleden wat problemen gegeven.
Ik verwacht niet dat het daar in zit maar ik laat me graag verrassen.
visser, de zonefile is door DA zelf aangemaakt, gezien het verhaal hierboven verwacht ik dat ik de "error" in CSF moet gaan zoeken...
Mijn TCP_IN: 20,21,22,25,53,80,110,143,443,465,587,993,995,2222
TCP_OUT: 20,21,22,25,53,80,110,113,443,993,995,2222
UPD_IN: 20,21,53
UDP_OUT: 20,21,53,113,123
Welke mis ik?
Tips welkom!
Yourwebhoster
14/01/15, 19:31
Vreemd dat de NS servers niet in IP adressen resolven bij de DNS servers van Google en bij UPC wel. Toch vermoed ik dat het er iets mee te maken heeft en dat de instelling tijdelijk weg is.
Ik denk niet dat je naar de server moet kijken maar toch even moet wachten op de juiste DNS instelling. Je Firewall staat wel goed:
Trying 77.243.225.88...
Connected to srv1.funnymedia.nl (77.243.225.88).
Escape character is '^]'.
220 srv1.funnymedia.nl ESMTP Exim 4.84 Wed, 14 Jan 2015 19:28:43 +0100
FunnyMedia
14/01/15, 19:34
Wat ik vreemd blijf vinden als ik CSF uit zet de check goed is...
(op het gezeur dat beide nameservers op 1 server staan na dan)
Dat is een warning en geen error.
Met firewall errors...
Ik ben ondertussen iets verder...
Als ik CSF uitzet komt de test op http://www.intodns.com/funnymedia.nl wel OK
Nu ik CSF weer aan zet mis ik het een en ander...
Ik vermoed dat ik een poortje mis...
Yourwebhoster, wat ik vandaag heb aangepast is de ipv6 vermelding verwijderd.
IPv6 heeft in het verleden wat problemen gegeven.
Ik verwacht niet dat het daar in zit maar ik laat me graag verrassen.
visser, de zonefile is door DA zelf aangemaakt, gezien het verhaal hierboven verwacht ik dat ik de "error" in CSF moet gaan zoeken...
Mijn TCP_IN: 20,21,22,25,53,80,110,143,443,465,587,993,995,2222
TCP_OUT: 20,21,22,25,53,80,110,113,443,993,995,2222
UPD_IN: 20,21,53
UDP_OUT: 20,21,53,113,123
Welke mis ik?
Tips welkom!
Voor authoritive DNS moet je inkomend DST UDP 53 en uitgaand SRC UDP 53 accepteren.
Als je records wat groter zijn (DNSSEC) hetzelfde voor TCP, dus hou dat er ook maar bij.
Ik ken de details van CSF niet, maar ik vermoed dat bovenstaande regels de uitzonderingen zijn die CSF niet mag blokkeren ?
Dan gok ik een beetje dat er ergens een foutje zit waardoor die files/poorten niet gebruikt worden als 'mag niet blokkeren' lijst.
Kijk eens nadat je CSF (weer) hebt aangezet hoe iptables er op de computer echt uitziet.
(/sbin/iptables -nvL )
Gokje dat het om funnymedia.nl gaat. De DNS servers resolven hier nog niet naar je IP adres. Als ik bij de whois kijk dan heb je vandaag pas een change gedaan, mogelijk heeft dat er mee te maken. Als je een aanpassing maakt aan een domeinnaam dan kan het even duren voordat het er overal door heen gekomen is.
Dit zal ook verklaren waarom de ene mail wel en de andere mail niet aan komt. Mocht het over - pak n beet 24 uur na de wijziging - nog niet goed werken dan kan je verder kijken wat er aan de hand is.
"DNS kan tot 24 uur duren" is de *laatste* verklaring die je moet geven voor 'soms een probleem', en pas nadat alle andere controles die je meteen kunt doen goed zijn.
Een wijziging op een authoritive server is 'meteen' zichtbaar voor een (nette) check tool, en zeker als je een controle zelf doet met dig of nslookup naar de server.
Een wijziging van de domein naam/glue records is na maximaal 2 uur zichtbaar (.nl ) .
Negatieve caching duurt veel korter dan (de TTL van) positieve caching, dus iets wat je *aangevuld* hebt is zelfs voor resolvers die het negatieve antwoord gecached hadden vrij snel opgelost.
Eigenlijk is het alleen positieve caching (antwoord gegeven, zoals een A record) wat voor de duur van de TTL in een caching resolver kan blijven staan , en dan voor de gebruikers van die caching resolver 'het' antwoord is wat misschien niet actueel is.
FunnyMedia
15/01/15, 06:15
Ik heb een output van CSF gemaakt van de actieve tabellen...
Een groot gedeelte tekst van IP`s die worden geblokkeerd heb verwijderd.
Zijn IP`s die zichzelf een plaatsje hebben toegeëigend op de lijst.
Zie lijstje: http://www.funnymedia.nl/csf.txt
Als Google dns niet werkt en UPC wel gok ik zomaar dat DNSSEC onterecht aan staat bij SIDN voor dit domein...
Sent from my iPhone using webhostingtalk mobile app
Als Google dns niet werkt en UPC wel gok ik zomaar dat DNSSEC onterecht aan staat bij SIDN voor dit domein...
De DNS check van SIDN gaf gisteravond (http://dnscheck.sidn.nl/?time=1421273624&id=1791094&view=advanced&test=standard) inderdaad aan voor het domein:
'Inconsistent security for funnymedia.nl - DS found at parent, but no DNSKEY found at child.'
Vanochtend is die vermelding verwijderd en komt ie ongeschonden door de check.
Een tip: check even of DNSSEC bij de andere domeinnamen die je op dezelfde server draait ook goed staat. Anders heb je daar dezelfde problemen. Zelf wacht bewust met het 'upgraden' naar DNSSEC totdat a) de domeinboer het via API aanbiedt en b) het onderhoud van de keys ook op orde is. Anders krijg je later weer problemen.
En verder: wat IT-Worx zegt: Je ns2 in aparte netwerken zetten op a) een aparte vps of b) via DNS oplossing. Bij een VPS zou je zelfs ook een fallback dienst kunnen aanbieden of extern bereikbaar NOC.
Ik heb een output van CSF gemaakt van de actieve tabellen...
Een groot gedeelte tekst van IP`s die worden geblokkeerd heb verwijderd.
Zijn IP`s die zichzelf een plaatsje hebben toegeëigend op de lijst.
Zie lijstje: http://www.funnymedia.nl/csf.txt
Ok, ik heb gekeken.
Zolang een resolver zich geen plaats op de lijst veroverd moet het werken.
Op dit moment (11:00) kreeg ik ook goede antwoorden van je DNSen.
FunnyMedia
15/01/15, 11:14
Bart L bracht me op het juiste spoor en ik heb de DNSSEC weg gehaald bij mijn registratie at TransIP en ik krijg nu idd (veel) oude mailtjes binnen.
Blijkbaar zat daar de fout helaas...
Ik zal eens kijken wat de mogelijkheden zijn om een externe DNS oplossing kan brengen voor me.
Thanks all voor het meedenken!
Bart L bracht me op het juiste spoor en ik heb de DNSSEC weg gehaald bij mijn registratie at TransIP en ik krijg nu idd (veel) oude mailtjes binnen.
Blijkbaar zat daar de fout helaas...
Ik zal eens kijken wat de mogelijkheden zijn om een externe DNS oplossing kan brengen voor me.
Thanks all voor het meedenken!
Mooi dat opgelost is.
Afgezien van DNSSEC moet je overigens initiëel beslist _ook_ een connectivity probleem gehad hebben (csf relatie) - zowel de geposte intodns check als mijn directe test naar je NS'en gaf geen antwoord, en dat stond los van falen van DNSSEC.
Maar dat idd na oplossen ervan een mismatchende dnssec kan leiden tot het niet ontvangen van mail (=niet terugkrijgen van MX door een validerende resolver)